Guide du règlement général sur la protection des données
La confidentialité et la protection des données sont revenues sur le devant de la scène au cours de l’année écoulée, dans un contexte technologique de plus en plus complexe. Des discussions ont eu lieu au sein de l’UE sur la nécessité d’un « RGPD 2.0 », car le cloud et l’IA posent leurs propres défis en matière de confidentialité, qu’il s’agisse des modèles de responsabilité partagée, du traitement des données biométriques ou de l’utilisation de la reconnaissance faciale.
Qu’est-ce que le RGPD ou règlement général sur la protection des données, que couvre-t-il et peut-il apporter des réponses aux défis actuels, 12 ans après sa première rédaction ? Examinons l’objectif et les conditions à remplir pour garantir la conformité de cette législation grâce à votre stratégie de protection des données.
Qu’est-ce que le RGPD ?
Le Règlement général sur la protection des données (RGPD) est une loi sur la protection des données qui réglemente la manière dont les organisations collectent, stockent, traitent et partagent les données personnelles des citoyens de l’UE. Le RGPD est entré en vigueur le 25 mai 2018. Il est basé sur l’article 8 de la Charte des droits fondamentaux de l’Union européenne relatif à la protection des données à caractère personnel et s’appuie sur le « consentement librement donné » comme base juridique pour le traitement des données à caractère personnel.
Ce règlement vise à harmoniser les réglementations en matière de confidentialité des données dans toute l’Union européenne et à protéger les droits à la vie privée des citoyens de l’UE, quel que soit l’emplacement de l’organisation qui traite les données à caractère personnel.
Les principes fondamentaux du RGPD
Le règlement général sur la protection des données s’articule autour de 7 principes clés qui régissent le traitement légal des données à caractère personnel. Ces principes ne sont pas seulement des lignes directrices, mais sont juridiquement contraignants et essentiels au respect du RGPD. Ils exigent des organisations qu’elles prennent en compte la confidentialité à chaque étape du traitement des données, depuis la collecte initiale jusqu’à leur suppression ou destruction finale.
- Légalité, loyauté et transparence. Le traitement des données à caractère personnel doit avoir une base juridique, ne doit pas être trompeur ou préjudiciable aux personnes concernées, et doit être clair et transparent avec les personnes quant à la manière dont leurs données sont utilisées et traitées.
- Limitation de la finalité . Les données doivent être collectées pour des raisons spécifiques, claires, explicites et légales, et leur utilisation ne peut être incompatible avec la finalité initiale.
- Minimisation des données . Les données collectées et traitées doivent être limitées à ce qui est essentiel pour la finalité prévue.
- Exactitude . Les données à caractère personnel doivent être exactes et, si nécessaire, mises à jour. Les données inexactes doivent être corrigées ou supprimées sans retard.
- Limitation du stockage . Les données à caractère personnel ne doivent être conservées que dans un format permettant d’identifier les personnes concernées pendant la durée nécessaire à la réalisation de la finalité prévue.
- Intégrité et confidentialité (sécurité). Le traitement des données à caractère personnel doit intégrer des mesures de sécurité appropriées pour les protéger contre tout traitement non autorisé ou illicite et contre tout dommage.
- Responsabilité . Les organisations doivent être en mesure d’appliquer les politiques et procédures nécessaires pour se conformer au RGPD et de démontrer qu’elles l’ont fait efficacement lorsqu’on leur demande de le faire.
Définitions et terminologie du RGPD
Vous trouverez ci-dessous un petit glossaire contenant les termes clés et les définitions du RGPD :
Données à caractère personnel désigne toute information relative à une personne physique, c’est-à-dire la personne concernée , qui peut être identifiée directement ou indirectement, par exemple par son nom, un numéro d’identification, son emplacement ou tout autre identifiant lié à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale.
Le consentement est toute manifestation de volonté « libre, spécifique, éclairée et univoque » par laquelle la personne concernée accepte que ses données à caractère personnel soient traitées aux fins indiquées.
Le responsable du traitement est la personne physique ou morale qui est responsable du respect des principes du RGPD et qui détermine les finalités et les moyens du traitement des données à caractère personnel. C’est lui que les personnes concernées qui souhaitent exercer leurs droits doivent contacter. Toutefois, le traitement effectif des données peut être délégué à une autre personne physique ou morale, à savoir le sous-traitant .
Le sous-traitant est une personne physique ou morale qui traite des données à caractère personnel pour le compte du responsable du traitement . Cette partie est soumise aux instructions du responsable du traitement .
La personne concernée est une personne physique qui consent au traitement de ses données à caractère personnel par un responsable du traitement ou un sous-traitant .
Le traitement désigne toute opération effectuée sur des données à caractère personnel, telle que la collecte, l’enregistrement, la structuration, le stockage, la modification, la communication, la diffusion, l’effacement et la destruction, entre autres options couvertes par le RGPD.
Droit d’accès est le droit d’une personne concernée d’obtenir gratuitement, dans un délai de 1 mois à compter de la réception de sa demande, des informations auprès du responsable du traitement concernant ses données à caractère personnel, la manière dont elles sont traitées, la finalité du traitement, etc.
Conditions à remplir et défis liés à la conformité au RGPD
Le RGPD a jeté les bases de normes solides en matière de protection des données. Cependant, la nature dynamique de la technologie introduit des complexités et met de plus en plus à l’épreuve les principes fondamentaux qui sous-tendent la réglementation européenne en matière de confidentialité.
Qui doit se conformer au RGPD ?
Au sein de l’UE. Toute organisation qui traite les données personnelles de personnes physiques dans l’UE est soumise au RGPD. Cela inclut les entreprises publiques et privées, les gouvernements, les organisations caritatives et autres organisations à but non lucratif.
En dehors de l’UE. Le RGPD s’étend au-delà des frontières de l’UE à toute organisation qui fournit des biens ou des services aux citoyens de l’UE ou observe leur comportement au sein de l’UE. Cela signifie qu’une entreprise basée n’importe où dans le monde doit se conformer au RGPD si elle traite les données de résidents de l’UE.
Les entreprises mondiales du secteur de l’internet et des technologies , y compris les plateformes de réseaux sociaux, qui ont des utilisateurs dans l’UE sont tenues de se conformer au RGPD.
Fournisseurs de technologies et responsabilité partagée
Avec la prolifération des plateformes Saas, IaaS, Paas et autres qui fournissent des ressources et des services informatiques sur Internet, le rôle des fournisseurs de technologies et des sous-traitants qui traitent des données à caractère personnel entre en jeu dans la conformité au RGPD. Si une organisation utilise des services/plateformes tiers pour traiter ou stocker des données à caractère personnel, les fournisseurs doivent également se conformer au RGPD.
Il convient de noter que la plupart de ces services reposent sur un modèle de responsabilité partagée selon lequel :
- Les organisations sont responsables de leurs données en tant que propriétaires de celles-ci et, selon le type de service, peuvent être responsables des applications et/ou des systèmes d’exploitation
- Les fournisseurs sont responsables des serveurs, du stockage, des réseaux, des emplacements physiques, etc.
En vertu du RGPD, les organisations sont tenues d’obtenir le consentement et de veiller à ce que les données soient utilisées aux fins prévues. Elles doivent également s’assurer que les fournisseurs auxquels elles confient le traitement des données à caractère personnel le font dans le respect de la réglementation.
Certains des défis posés par le cloud computing pour les données privées concernent :
- fuites potentielles d’informations sensibles
- contrôle des flux de données entre juridictions
- garantie que les fournisseurs tiers appliquent les mêmes engagements en matière de confidentialité que ceux pris envers les personnes concernées
- mise en œuvre efficace des politiques de conservation
- traitement des violations de données privées
- gestion des risques en général
RGPD et IA
La Loi européenne sur l’intelligence artificielle, première loi au monde réglementant l’IA, devrait entrer en vigueur en 2025 afin de relever certains des nouveaux défis liés aux droits à la vie privée des citoyens de l’UE. Cependant, il est important de comprendre dès aujourd’hui certains des défis auxquels sont confrontées les organisations qui s’appuient sur l’IA pour traiter des données à caractère personnel :
- Minimisation des données et limitation de la finalité. L’IA pose un défi aux responsables du traitement des données qui limitent la collecte de données à ce qui est strictement nécessaire et à une finalité spécifique.
- Transferts transfrontaliers de données. L’IA et les technologies basées sur les données fonctionnent souvent au-delà des frontières. Cela peut nécessiter la mise en place de contrôles plus stricts pour garantir la conformité au RGPD.
- Prise de décision automatisée et profilage. L’IA introduit le risque de décisions prises sans intervention humaine sur la base du traitement de données à caractère personnel, ce qui inclut le profilage. Cette utilisation des données à caractère personnel est très restrictive dans le cadre du RGPD.
Principales conditions à remplir pour se conformer au RGPD
Pour les organisations qui doivent se conformer au RGPD, voici les conditions à remplir :
- Mesures de protection des données . Les organisations doivent mettre en œuvre des solutions et des mesures robustes de protection des données, notamment le chiffrement des données, le stockage sécurisé des données et des audits de sécurité réguliers. Cela implique également de prendre en compte les implications du RGPD lors de l’adoption de nouvelles technologies telles que l’IA, le cloud computing et l’analyse des mégadonnées.
- Gestion du consentement . Les organisations doivent mettre en place une politique claire afin d’obtenir un consentement clair, éclairé et libre avant de traiter des données à caractère personnel. Cela implique également la mise en place de mécanismes clairs pour la gestion du cycle de vie des données à caractère personnel.
- Registres de traitement des données . Il est obligatoire de conserver des registres détaillés des activités de traitement des données, indiquant quelles données sont collectées, à quelles fins et comment elles sont traitées et protégées.
- Délégué à la protection des données . Certains types d’organisations peuvent être amenés à nommer un délégué à la protection des données chargé de superviser la conformité au RGPD, en particulier si elles traitent des données sensibles à grande échelle.
Comment satisfaire aux conditions à remplir pour le RGPD
Satisfaire aux conditions à remplir pour le RGPD n’est pas un effort ponctuel, mais un processus continu d’évaluation et de surveillance. Les organisations doivent mettre en œuvre un ensemble complet de mesures englobant le traitement des données à caractère personnel, la protection et la récupération des données, ainsi que la sécurité :
- Comprendre et cartographier les données . Réalisez un audit approfondi pour comprendre quelles données à caractère personnel sont collectées, pourquoi elles sont collectées, comment elles sont traitées, où elles sont stockées et comment elles sont partagées. Créez une cartographie des flux de données pour suivre le parcours des données à caractère personnel au sein de l’organisation. Cela permet d’identifier les domaines à risque.
- Garantir une base légale pour le traitement . Déterminez la base légale pour le traitement des données à caractère personnel, telle que le consentement, le contrat, l’obligation légale, les intérêts vitaux, la mission d’intérêt public ou les intérêts légitimes. Si vous vous appuyez sur le consentement, assurez-vous qu’il soit « libre, spécifique, éclairé et univoque ». Les mécanismes de consentement doivent être faciles à comprendre et inclure la possibilité de retirer facilement son consentement.
- Mettez en œuvre des stratégies de protection des données . Élaborez ou mettez à jour des politiques et procédures internes de protection des données afin de garantir la conformité au RGPD. Intégrez la protection des données par défaut et dès la conception dans tous les processus, systèmes et services commerciaux qui impliquent des données à caractère personnel.
- Réduisez au minimum le traitement des données. Veillez à ce que seules les données nécessaires à chaque finalité spécifique soient traitées et à ce que l’accès aux données à caractère personnel soit limité aux personnes qui en ont besoin.
- Conservation des données. Le RGPD exige des organisations qu’elles évaluent et gèrent de manière critique la durée de conservation des données à caractère personnel, en veillant à ce que celles-ci ne soient pas conservées plus longtemps que nécessaire. Cela nécessite une approche proactive de la gestion des données, avec des politiques claires, des révisions régulières et des processus efficaces de suppression ou d’anonymisation des données, tout en équilibrant la conformité au RGPD avec d’autres conditions à remplir.
- Faciliter les droits des personnes concernées . Mettre en place des procédures pour répondre aux droits des personnes concernées, notamment les demandes d’accès aux données, de rectification, d’effacement, de portabilité des données et d’opposition au traitement.
- Planifier les mesures de réponse et de signalement en cas de violation des données . Élaborez et mettez en œuvre un plan d’intervention solide en cas d’incident, comprenant un plan d’intervention en cas de violation des données. Soyez prêt à informer l’autorité de contrôle compétente dans les 72 heures suivant la découverte d’une violation des données et, dans certains cas, à informer les personnes concernées.
- Vérifiez la conformité des fournisseurs et des sous-traitants . Assurez-vous que tous les fournisseurs tiers ou sous-traitants qui traitent les données à caractère personnel de votre organisation sont également conformes au RGPD.
- Effectuez une évaluation continue . Réalisez régulièrement des audits des activités en matière de traitement des données et revoyez les politiques afin de garantir la conformité continue avec le RGPD.
- Soyez attentif aux transferts internationaux . Si vous transférez des données en dehors de l’EEE, assurez-vous que des mesures de protection adéquates sont en place, notamment des clauses contractuelles types (SCC), ou que vous respectez une décision d’adéquation de la Commission européenne.
- Conservez les enregistrements et la documentation . Conservez des enregistrements complets des activités de traitement des données, y compris la finalité du traitement, les catégories de données et les destinataires des données.
RGPD et protection des données
En termes de sauvegarde des données et de reprise après sinistre, les organisations doivent mettre en œuvre des processus de sauvegarde sécurisés afin de protéger les données personnelles et de garantir Conformité au RGPD. Cela inclut le déploiement de protection des données et de solutions de reprise après sinistre qui comprennent les fonctionnalités suivantes :
- Chiffrement des données de sauvegarde dans le référentiel de stockage (au repos) et lors du transfert (en transit). Choisissez des solutions qui vous permettent de mettre en œuvre des normes de chiffrement robustes afin de rendre les données de sauvegarde illisibles pour les personnes non autorisées, même en cas de faillite de sécurité.
- Contrôles d’accès et authentification . Configurez le Contrôle d’accès basé sur les rôles (RBAC) pour limiter l’accès aux données personnelles et l’authentification multifactorielle (MFA) pour renforcer la sécurité avant d’accorder l’accès.
- Minimisation des données et limitation du stockage . L’un des principes fondamentaux du règlement général sur la protection des données est la limitation du stockage, qui a un impact direct sur les politiques de conservation des sauvegardes. Assurez-vous que les solutions de sauvegarde offrent suffisamment de flexibilité pour créer différents plans et politiques de conservation pour différents niveaux de données.
- Emplacement des données de sauvegarde dans le stockage dans le cloud. Sachez où sont stockées les données de sauvegarde et choisissez les régions en fonction du type de données personnelles traitées.
- Contrôles réguliers de l’intégrité des données de sauvegarde . Effectuez des sauvegardes régulières pour garantir l’intégrité des données personnelles et mettez en place des mesures pour tester la récupération des données.
- Gestion/conformité des fournisseurs et des tiers . Assurez-vous que le stockage tiers et les autres plateformes intégrées à votre solution de sauvegarde offrent les fonctionnalités adéquates pour vous permettre de contrôler comment et où les données sont stockées.
Protection des données avec NAKIVO
NAKIVO Backup & Replication est une solution de protection des données offrant la combinaison idéale de fonctionnalités de sauvegarde, de reprise après sinistre et de sécurité à mettre en œuvre par les organisations traitant des données personnelles. Vous pouvez protéger les applications et les systèmes dans des environnements virtuels, physiques, cloud et Saas, et maintenir la conformité aux conditions à remplir du RGPD grâce à des fonctionnalités telles que le chiffrement au repos et en transit, la planification et l’automatisation des sauvegardes, des paramètres de conservation flexibles, la vérification des sauvegardes, etc.
